Взлом FirstVDS: уязвимость VMmanager раскрыла пароли
Коротко: 17 октября 2026 года хакеры воспользовались уязвимостью в панели управления виртуализацией VMmanager 6 и получили доступ к части инфраструктуры российского хостинг-провайдера FirstVDS. Примерно за десять часов программа для кражи данных подключала диски клиентских виртуальных серверов в режиме «только чтение» и копировала пароли, SSH- и API-ключи, токены облачных сервисов и ИИ-платформ, доступы к GitHub/GitLab, конфиги, историю команд и криптокошельки. FirstVDS отключила внешний доступ к панели управления, заблокировала IP-адрес атакующих и уведомила пострадавших клиентов — при этом прямо порекомендовав считать скомпрометированным всё, что было на затронутых серверах.
Что произошло
17 октября 2026 года хостинг-провайдер FirstVDS сообщил о взломе части своей инфраструктуры. Атакующие воспользовались уязвимостью в VMmanager 6 — панели управления виртуализацией, которую разрабатывает российская компания ISPsystem и которой пользуются многие хостеры для управления виртуальными серверами клиентов. По данным источников, атака развернулась практически сразу после очередного обновления платформы и продолжалась с 12:27 до 22:34 по московскому времени. Если вы до сих пор храните пароли от серверов в текстовых файлах, а не в зашифрованном хранилище, подобные инциденты у поставщика услуг — лишний повод это изменить: разбор того, как правильно хранить пароли, есть в материале про менеджер паролей.
Что именно скопировали злоумышленники
Атака была не точечной, а систематической: программа для кражи данных подключала диски клиентских виртуальных серверов в режиме «только чтение» и забирала всё ценное, что могла найти. В список попали пароли и cookie браузеров, SSH-ключи, токены API, доступы к GitHub и GitLab, токены облачных платформ (включая AWS, Google Cloud и Microsoft Azure), API-ключи ИИ-сервисов, конфигурационные файлы, история команд, криптокошельки и seed-фразы, а также пользовательские файлы. В уведомлении клиентам компания прямо указала: список неполный, и нужно исходить из того, что скомпрометировано всё содержимое затронутого сервера — любые файлы, пароли, ключи, токены, конфиги, базы данных и резервные копии.
Почему это не просто «ещё один взлом»
Инцидент с FirstVDS — классический риск цепочки поставок в ИТ: атакуют не ваш сервис напрямую, а инфраструктуру, которой вы доверяете его работу. Пострадавшими оказались не абстрактные пользователи, а владельцы виртуальных серверов — разработчики, малый и средний бизнес, администраторы сайтов, у которых на арендованных VDS крутится боевой код, клиентские базы и доступы к внешним системам. Если на сервере хранились незашифрованные базы данных или ключи доступа к платёжным сервисам, последствия выходят далеко за рамки одного взломанного хостинга — злоумышленники получают плечо для атак уже на клиентов пострадавших компаний. Та же логика цепной реакции стоит и за массовыми кражами через инфостилеры: один скомпрометированный узел открывает доступ сразу к десяткам систем.
Что сделал FirstVDS
По данным компании, после обнаружения атаки внешний доступ к системе управления VMmanager был отключён, а IP-адрес серверов злоумышленников — заблокирован в сети. Затронутым клиентам отправлены персональные уведомления в личном кабинете и на email со списком конкретных серверов и инструкциями. Если клиент не получил такое уведомление, компания утверждает, что следов атаки на его узлах не нашли — но после подобного инцидента разумно дополнительно проверить логи входов и активности самостоятельно, а не полагаться только на это.
Что делать владельцам серверов — на FirstVDS и не только
Независимо от того, попал ли ваш сервер в список пострадавших, набор действий один. Смените все пароли и перевыпустите SSH- и API-ключи, которые ещё не уникальны для каждого сервиса. Переведите криптовалютные средства на новые кошельки — любую seed-фразу, которая могла быть на затронутой инфраструктуре, нужно считать скомпрометированной без исключений. Отзовите старые токены доступа в облачных и dev-платформах (AWS, Google Cloud, Azure, GitHub, GitLab) и выпустите новые. Проверьте журналы входов и активности на предмет действий, которые вы не совершали. И в целом: перестаньте хранить пароли в текстовых файлах на сервере — это не спасёт от компрометации самого сервера, но резко сократит список того, что реально попадёт в руки атакующих в следующий раз. Отдельный слой защиты стоит добавить при администрировании серверов и панелей управления с публичного или недоверенного Wi-Fi — зашифрованный VPN-канал не исправит уязвимость в стороннем ПО, но закрывает перехват вашего собственного трафика по пути. Что конкретно закрывает такой слой, можно посмотреть на странице приложений LiMP VPN.
Источники
Частые вопросы
Какую уязвимость использовали хакеры?
Уязвимость в VMmanager 6 — панели управления виртуализацией от ISPsystem, которую FirstVDS использует для управления клиентскими виртуальными серверами. По данным источников, атака началась почти сразу после очередного обновления платформы.
Какие данные оказались под угрозой?
Пароли и cookie браузеров, SSH- и API-ключи, токены облачных платформ и ИИ-сервисов, доступы к GitHub/GitLab, конфиги, история команд, криптокошельки и seed-фразы. Компания прямо рекомендует считать скомпрометированным всё содержимое затронутых серверов.
Как понять, затронул ли меня этот взлом?
FirstVDS уведомляет пострадавших клиентов в личном кабинете и на email со списком конкретных серверов. Отсутствие уведомления компания трактует как отсутствие следов атаки, но стоит дополнительно проверить логи входов самостоятельно.